RADIUS-ôfwizing tsjin gjin antwurd: wannear’t lokale oanmelding rint

In needlokale account hâlde makket it gjin twadde kâns foar elke wegere oanmelding. Yn it AAA-model fan Cisco IOS en IOS XE wurdt dy database allinnich rieplachte as de foarige metoade op in beskate manier mislearret, en in RADIUS-tsjinner dy’t mei in ôfwizing antwurdet is net op dy manier mislearre. It lokale account dekt in net berikbere metoade, net ien dy’t wegere is. Oars leauwe makket fan in beliedsbeslút in syktocht nei in tsjinnerflater dy’t net bestiet.

Wêrom’t de metoade-list op in ljedder liket

In rigel lykas aaa authentication login default group radius local wurdt fan links nei rjochts lêzen, en de measte minsken lêze it as probearje RADIUS, probearje dan de lokale database. De syntaks noeget ta dy lêzing, om’t in list in sekwinsje is. De semantyk is smeller: de list neamt autentikaasjemetoaden, en de regel om fan ien nei de folgjende te gean hinget ôf fan it resultaat fan ’e foarige metoade, net fan it jaan fan de brûker noch in poging.

In metoade dy’t in flater weromjout en in metoade dy’t in mislearring weromjout liede hjir ta ferskate útkomsten. Ofwizing is in antwurd, om’t de tsjinner de ynloggegevens ferwurke en nee sei, en de list stopet dêr. In net berikbere tsjinner, in ferrûne oanfraach of in antwurd dat net falidearre wurde kin is it gefal dat de folgjende metoade rinne lit, en allinnich dêr’t de flaterbehanneling fan it platfoarm sa ynsteld is. Dêrom wurket it klassike advys om local ta te foegjen by steuringen en docht it neat by ferkearde wachtwurden. Lês de list ynstee as twa fragen: hokker metoade antwurdet, en wat it platfoarm as antwurd rekkenet.

Skied de metoade-list fan de tsjinnergroep

De metoade-list is ien laach en de tsjinnergroep is in oare. It kaaiwurd group radius neamt in groep waans ynterne folchoarder, werpogingen, tiidlimitaten en deteksje fan deade tsjinner by de groep hearre, wylst in lokale metoade in laach dêrboppe is. It bystellen fan wat dan ek binnen de groep kin dêrom in ôfwizing net yn in fallback feroarje. Befêstigje nei hokker list de tsjinst echt ferwiist foardat jo ien fan beide lagen feroarje.

Print de AAA-konfiguraasje en lês de list dêr’t de tsjinst nei wiist, net de standertwearde dy’t jo jo by binne te hawwen skreaun. Doch it fan it apparaat dêr’t de tsjinst echt op einiget.

show running-config | section aaa
show radius server-group RAD-GRP
show aaa servers

De tsjinnertabel rapportearret de status en tellers fan elk item, wat jo fertelt oft de gateway de tsjinner by de poging berikt hat. In tsjinner dy’t as oan markearre is mei in groeiende oanfraachteller hat antwurde, dus de mislearre oanmelding is in beslút en gjin ferbiningsprobleem.

Lês it antwurd foardat it logboek

De antwurdkoade neamt de útkomst en ymplisearret syn eigen folgjende stap. Access-Reject betsjut dat de backend in beslút naam hat, dus it nuttige bewiis is it belied dat oerienkaam en de accountstatus dêrefter. Access-Challenge betsjut dat de útwikseling noch in stipe stap wol lykas in twadde faktor, en lokale fallback soe stilwei eat oerslaan dat it belied easket.

Reprodusearje ien poging mei in oanwiisde testaccount, sadat it antwurd en it backend-record op deselde tiidstimpel ferlike wurde kinne. Brûk in ynloggegevens dêr’t jo fan tastean meie dat it mislearret.

test aaa group RAD-GRP svc-ops 'LabPass!24' legacy
debug radius authentication

In ûntbrekkend of net werkenber RADIUS-klantitem is in faak foarkommende oarsaak fan in stille tiidlimyt, om’t de tsjinner de oanfraach ûntfangt, gjin oerienkommende klantdefinysje fynt en dy sûnder antwurd fuortsmyt. In net-oerienkommend dield geheim liket ek meastentiids op in tiidlimyt, om’t it antwurd de falidaasje net hellet en fuortsmiten wurdt. Net ien fan dy liket op Access-Reject, en net ien wurdt reparearre troch in lokale account ta te foegjen. Kontrolearje de klantdefinysje en it geheim oan beide kanten foardat jo de metoade-list oanreitsje.

Wêrom’t it lokale account nea eat bewiisde

In account dat efter in groep yn ’e list stiet bewiist allinnich dat immen in steuring pland hat. It seit neat oer oft it plan wurket, om’t it gefal dat it útoefenet it gefal is dat nimmen repetearret: de tsjinner stoppe mei antwurdzjen. In lokale oanmelding dêr’t by normale operaasje nea berikt wurdt kin moannenlang in ferrûn wachtwurd of in beskoattele status drage sûnder dat immen it merkt.

Needtagong is in ûntwerpbeslút, gjin byeffekt fan konfiguraasje. Jou it in eigen beheind account, in eigen eigner en in skriftlike herstelproseduere, en foegje de rotaasje fan it dielde geheim yn dy proseduere yn. In lokale wachtwurd mei deselde namme foar elke sintrale brûker hâlde is it patroan dat stilwei de tagong werombringt dy’t jo tochten dat jo fuorthelle hiene.

De test dy’t belang hat is bewust, en hy sil oanmeldingen ûnderbrekke wylst er rint. Krekt dêrom heart er yn in pland finster mei de weromsetstap earst skreaun.

Kontrolearje it fallback-paad by in ûnderhâldsfinster

Oarderje de test sa dat jo nea de lêste wei nei binnen fuortsmite. Befêstigje earst in ûnôfhinklik behearpaad, dan normale tastiene tagong, dan in bewuste ôfwizing, dan it goedkarde steuringsgedrach. Dy fjouwer gefallen hawwe ferskate ferwachte útkomsten, en se yn ien test gearfoegje is hoe’t minsken harsels bûten in apparaat slute dat se noch nedich hawwe.

Fier elke kontrôle út fan in konsolesesje of fan in paad bûten de band, sadat in flater de sesje net slute kin wêryn’t jo wurkje. De konsôle is it iene paad dat net fan ’e testte komponint ôfhinget.

show aaa servers
show running-config | include aaa authentication
test aaa group RAD-GRP svc-ops 'LabPass!24' legacy

Dêrnei set de foarige konfiguraasje werom en befêstigje dat de tellers by de folgjende echte oanmelding wer bewege. As de bewuste ôfwizing in lokale oanmelding ynstee fan in ôfwizing oplevert, dan binne de list of de flaterbehanneling net wat jo leauden, en dy befining is wichtiger as de steuring dêr’t jo mei begûnen. Skriuw it resultaat yn it wizigingsrecord njonken de accountnammen en de datum fan de test.